Escándalo del chip espía de Ledger: ¿siguen siendo seguras las wallets frías?

​Ledger confirmó un implante de hardware no autorizado en el dispositivo de un cliente, vinculado a más de $86 millones en pérdidas de criptomonedas. Esto expone una grave vulnerabilidad en la cadena de suministro de wallets de hardware. Una investigación adicional del distribuidor del sudeste asiático CryptoBilis indicará los riesgos de manipulación física y las formas de restaurar el estatus de las wallets frías como el método más seguro para almacenar criptomonedas.

Implante confirmado y magnitud de las pérdidas

La confirmación de Ledger de un implante de hardware no autorizado ha expuesto muchos problemas ocultos en sus wallets. Los principales riesgos se observan entre los compradores que adquirieron dispositivos a través del distribuidor del sudeste asiático CryptoBilis. Ledger afirma que sus sistemas no presentan vulnerabilidades. Los analistas de blockchain de Bitquery calcularon que se sustrajeron aproximadamente $93,2 millones de 315 wallets en Tron, Bitcoin, Ethereum, BNB Chain, Polygon y Solana. Tether congeló alrededor de $10 millones en USDT relacionados. Ledger aún no ha confirmado estas cifras. 

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El 10 de octubre, Ledger Support publicó una actualización sobre la situación en la que afirmaba: 

«Ledger puede confirmar que uno de los dispositivos de los usuarios afectados contenía un implante de hardware no autorizado». 

La empresa está cooperando con las autoridades y el colectivo de seguridad SEAL 911. Ha solicitado a CryptoBilis que suspenda todas las ventas de wallets de hardware. 

«No tenemos indicios de que la infraestructura de seguridad, los sistemas o los servicios de Ledger se hayan visto comprometidos», añadió el comunicado. 

Anatomía del módulo espía

Los investigadores describen una sofisticada modificación física que no requirió un exploit de software ni vulnerar un elemento seguro. El exdirector ejecutivo de Mt. Gox, Mark Karpelès, examinó un Ledger Nano X comprado en Malasia y encontró una pequeña placa de circuito. 

«Mi Ledger con implante espía venía de Malasia y tenía un envoltorio retráctil impecable», escribió. «Incluso al abrirlo, al principio no se ve el implante, que está ingeniosamente oculto donde debería estar el acolchado de la pantalla».

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El implante suele incluir un microcontrolador, un módulo celular o LTE, una eSIM y una antena. Cuando el dispositivo genera su frase de recuperación de 24 palabras durante la configuración inicial, el módulo puede reconstruir las palabras a partir del flujo de píxeles y transmitirlas por la red celular. Como el elemento seguro sigue siendo auténtico, la «Genuine Check» de Ledger continúa aprobándose. Por tanto, un usuario típico casi no tiene posibilidades de detectar un problema.

Un problema del canal, no un fallo de fábrica

Ledger ha declarado que el incidente se limita a los dispositivos vendidos a través de CryptoBilis, un distribuidor autorizado que opera en Indonesia, Malasia y Filipinas. Actualmente, no hay casos que muestren problemas con dispositivos comprados directamente en la propia tienda de Ledger. La empresa señala que ninguna cadena de suministro global es inmune a la interceptación una vez que los productos salen de la fábrica. Los antiguos cofundadores de CryptoBilis han declarado que el negocio cambió de propietarios a principios de 2026, alegando por ello que no son responsables de estas sustracciones.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El patrón de actividad on-chain muestra que múltiples wallets autorizaron al mismo gastador en cuestión de segundos. Esto demuestra que los casos son ejemplos de acceso coordinado a claves privadas, y no intentos individuales de phishing. Sin embargo, Ledger no ha vinculado todas las direcciones vaciadas a un implante confirmado mientras continúa la investigación interna.

Escrutinio de expertos y advertencias previas

Los analistas de hardware han determinado que el módulo monitoriza pasivamente el tráfico de pantalla sin cifrar sin atacar el elemento seguro. Según Karpelès y Tibane Labs, las iteraciones posteriores redujeron el cableado visible. Esto preservó la batería original para superar una inspección superficial. Los expertos han presentado nuevos videotutoriales para que los usuarios verifiquen sus dispositivos.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El director de seguridad de la información de SlowMist afirmó que dicho módulo podría registrar frases de recuperación. Sin embargo, comprender plenamente las principales causas subyacentes requiere una investigación. El escándalo también provocó nuevos intentos de phishing: aparecieron sitios web y aplicaciones falsos de Ledger en los resultados de búsqueda. Los representantes de Ledger recordaron que la empresa nunca solicitará la frase de 24 palabras de un usuario.

Implicaciones para el almacenamiento en frío

Las wallets de hardware se consideran tradicionalmente el estándar de oro de la autocustodia porque las claves privadas no salen del dispositivo. Sin embargo, este escándalo muestra un nuevo tipo de riesgo que puede surgir en la capa de distribución. Ledger afirma que está «trabajando en soluciones antimanipulación adicionales y mejoradas» y aconseja a los usuarios comprar solo a través de canales oficiales e inspeccionar visualmente las wallets antes de configurarlas. 

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El trabajo forense determinará la magnitud total de las pérdidas, ya que existe una alta probabilidad de que muchos casos aún no estén documentados. Por ello, recomendamos tratar cualquier dispositivo del canal afectado como potencialmente comprometido. Si los fondos pudieran estar en riesgo, genere una nueva frase semilla en una wallet nueva y de confianza.